Wer wurde wofür sanktioniert?

Bei einer Explosion und einem Brand an einer beheizten Mischmaschine im Betrieb von Stars Engrg Pte Ltd in Tuas starben am 24. Februar 2021 drei Arbeiter, sieben wurden verletzt; das Unternehmen erhielt nach dem Workplace Safety and Health Act Geldstrafen von insgesamt 500.000 SGD. Nach den Ermittlungen des MOM und eines Untersuchungsausschusses wurde die Maschine trotz wiederholter Warnzeichen wie Überhitzung, Ölaustritt, Rauch und eines kurz zuvor aufgetretenen Brandes weiterbetrieben, und es gab Mängel bei Gefährdungsbeurteilung, sicheren Arbeitsverfahren, Wartung, Aufsicht und Unterweisung. Nach dem Unfall wurden zudem für die Ermittlungen wichtige Nachrichten gelöscht.

Behörde / Gericht

Ministry of Manpower (MOM); Verurteilung durch ein Singapurer Strafgericht

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Arbeitssicherheit und Arbeitsunfälle

Rechtsgrundlage

Workplace Safety and Health Act 2006 (WSHA); Penal Code (Behinderung der Justiz, gegen Einzelpersonen)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Industrie und Maschinenbau

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

25.06.2026

Originalbetrag 500.000 SGD, umgerechnet zum EZB-Referenzkurs vom 25.06.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die MAS verhängte gegen die lizenzierte Trust-Gesellschaft Padang Trust Singapore Pte. Ltd. mutmaßlich eine Composition Penalty von 300.000 SGD, weil sie ungewöhnliche Transaktionen ohne erkennbaren wirtschaftlichen oder rechtmäßigen Zweck nicht hinterfragte und Verdachtsmeldungen nicht umgehend erstattete. Ursache waren laut MAS unzureichende Kontrollen, darunter die fehlende Prüfung ungewöhnlicher Transaktionen und ein geringes Bewusstsein der Beschäftigten für Geldwäsche- und Terrorismusfinanzierungsrisiken und Warnsignale; die Gesellschaft zahlte, ergriff Abhilfemaßnahmen und bestellte einen unabhängigen Prüfer, der deren Wirksamkeit bestätigen soll. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Monetary Authority of Singapore (MAS)

Rechtsgebiet

Geldwäsche und Terrorismusfinanzierung · Verdachtsmeldungen

Rechtsgrundlage

MAS Notice TCA-N03; s 27B(2) Monetary Authority of Singapore Act (Cap. 186); Composition nach s 176(1A) MAS Act 1970

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

25.05.2026

Originalbetrag 300.000 SGD, umgerechnet zum EZB-Referenzkurs vom 25.05.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Der Fondsmanager Havenport Investments Pte Ltd hatte keinen angemessenen Rahmen zur Steuerung der Risiken der verwalteten Vermögenswerte, unterschritt seine Mindestkapitalanforderung (Base Capital), ohne dies der MAS zu melden, und verletzte Auflagen seiner Capital Markets Services Licence, nach denen ein neues Produkt vorab genehmigt werden und Privatanleger vor dem Einstieg persönlich von unabhängigen Finanzberatern beraten werden mussten. Die MAS verhängte mutmaßlich eine Composition-Geldstrafe von 40.000 SGD; das Unternehmen hat sein Fondsgeschäft für Privatanleger eingestellt und darf seit dem 18. Juli 2024 keine Gelder von Privatanlegern mehr verwalten. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Monetary Authority of Singapore (MAS)

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Organisationspflichten

Rechtsgrundlage

Securities and Futures Act (SFA) und zugehörige Regulations; Auflagen der Capital Markets Services Licence

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

18.05.2026

Originalbetrag 40.000 SGD, umgerechnet zum EZB-Referenzkurs vom 18.05.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Das Ministry of Manpower hat der Twelve Cupcakes Pte. Ltd. eine förmliche Verwarnung (stern warning) erteilt, weil 80 Beschäftigte nach der Schließung des Unternehmens am 29. Oktober 2025 ihren Lohn für die Zeit vom 1. bis 29. Oktober 2025 nicht erhielten. Die Muttergesellschaft Dhunseri Ventures Limited hatte die Liquidation wegen eines akuten Liquiditätsengpasses veranlasst; das Ministerium wertete den Fall als echte Betriebsaufgabe in finanzieller Notlage statt als bewusste Umgehung der Lohnpflicht und beließ es deshalb bei der Verwarnung.

Behörde / Gericht

Ministry of Manpower (MOM), Singapur

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Mindestlohn und Schwarzarbeit

Rechtsgrundlage

Employment Act (EA), Singapur (fristgerechte Lohnzahlung)

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Lebensmittel und Landwirtschaft

Beschäftigte

50 bis 249

Mildernde Umstände

Löhne bis einschließlich September 2025 trotz anhaltender Verluste vollständig gezahlt, Gewerkschaft noch am Tag der Kenntnis informiert, Liquidator bestellt; Lohnforderungen gehen im Insolvenzverfahren anderen ungesicherten Forderungen vor.

Veröffentlicht

01.04.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die Eigentümergemeinschaft (Management Corporation) der Wohnanlage Riverfront Residences hatte bis März 2025 keinen Datenschutzbeauftragten (Data Protection Officer) benannt, keine eigenen Datenschutzregeln und ihrem Hausverwalter, der als Auftragsverarbeiter (data intermediary) für sie tätig war, keine Vorgaben zum Umgang mit personenbezogenen Daten gemacht; im April 2025 schickte ein Beschäftigter des Verwalters Namen, Adressen und Hausgeldangaben zweier Eigentümer versehentlich an einen anderen Eigentümer. Die Datenschutzbehörde PDPC stellte Verstöße gegen die Rechenschaftspflicht (Accountability Obligation) und die Schutzpflicht (Protection Obligation) fest; in der Versendung eines Antrags auf eine außerordentliche Versammlung mit Namen und Unterschriften von 303 Eigentümern sah sie dagegen wegen vorrangigen Wohnungseigentumsrechts keinen Verstoß. Sie ordnete an, binnen 90 Tagen Richtlinien und Verfahren für die Datenverarbeitung durch den Verwalter einzuführen und diesem mitzuteilen; der Verwalter selbst hatte eine freiwillige Verpflichtungszusage abgegeben.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Sections 11(3) und 12(a) PDPA 2012 (Accountability Obligation); Section 24 i. V. m. Section 4(3) PDPA (Protection Obligation bei Einsatz eines Data Intermediary)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Veröffentlicht

07.05.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Der Anbieter cloudbasierter HR-Software erhielt im April 2024 eine Erpresser-E-Mail; ein Angreifer hatte Datenbanken auf seinen AWS-Servern gelöscht und wahrscheinlich Daten ausgeleitet, mutmaßlich entwendete Daten wurden im Darknet angeboten – gefährdet waren Daten von 95.000 Beschäftigten seiner Kunden (u. a. Ausweisnummer, Gehalt, Bankkonto, Religion) sowie von 24.765 Notfallkontakten und Kindern. Die Datenschutzbehörde PDPC stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest, weil der Anbieter trotz der ihm von Kunden anvertrauten Personaldaten keine Web Application Firewall gegen vorhandene SQL-Injection-Lücken, einen offen aus dem Internet erreichbaren Remote-Desktop-Zugang ohne Zwei-Faktor-Authentifizierung und nur alle zwei Jahre Schwachstellenscans hatte. Sie verhängte 17.500 SGD, wegen der Liquiditätslage zahlbar in zwölf Monatsraten, und ordnete u. a. eine Web Application Firewall, jährliche Penetrationstests, Zwei-Faktor-Authentifizierung und die Verschlüsselung aller Personaldatenfelder an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß; Ratenzahlung mit Rücksicht auf die Liquidität, ein Erlass wurde abgelehnt.

Veröffentlicht

08.01.2026

Originalbetrag 17.500 SGD, umgerechnet zum EZB-Referenzkurs vom 08.01.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Im August 2024 verschlüsselte ein Angreifer ein von SESAMi und ihrer Tochter Abecha gemeinsam genutztes Netzlaufwerk mit Zahlungsdaten (u. a. vollständige Kreditkartennummern und Kontodaten) von rund 20.471 Kunden eines Kraftstoff-Flottenrabattprogramms der Tochter und bis zu 18.837 Personen aus der Registrierung für SESAMis B2B-Plattform; eine Ausleitung ließ sich nicht nachweisen. Die Datenschutzbehörde PDPC stufte SESAMi, das das Netz ohne schriftlichen Vertrag für die Tochter betrieb, insoweit als Auftragsverarbeiter (data intermediary) ein und stellte bei SESAMi einen fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation) fest (u. a. veraltete Firewall- und VPN-Firmware, kein Patch-Management, nicht durchgesetzte Passwort- und MFA-Regeln), ebenso bei Abecha, die als Verantwortliche nichts unternommen hatte, um angemessene Sicherheit bei SESAMi sicherzustellen. SESAMi erhielt 8.750 SGD und Anordnungen, Abecha als verantwortliche Stelle nur Anordnungen, darunter eine schriftliche Regelung der Rollen und Datenschutzpflichten im Konzern.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24(a) PDPA 2012 (Protection Obligation); Section 4(3) PDPA (Pflichten bei Einsatz eines Data Intermediary); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Kooperation, rasche und wirksame Abhilfe, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure); bei Abecha zudem geringere Schuld wegen begrenzter Eigenständigkeit als hundertprozentige Tochter, einer der Gründe, von einer Geldbuße gegen sie abzusehen.

Veröffentlicht

26.02.2026

Originalbetrag 8.750 SGD, umgerechnet zum EZB-Referenzkurs vom 29.12.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Am 8. Oktober 2024 fiel die Festnetztelefonie von Singtel für rund 500.000 Privat- und Geschäftskunden mehr als vier Stunden lang aus; betroffen waren auch Kundenhotlines von Behörden, Gesundheitseinrichtungen und Banken sowie Notrufdienste. Ursache war, dass die virtualisierten Firewalls des Sprachsystems und eines Überwachungssystems dieselbe Hardware nutzten, sodass eine Überlastung des unzureichend gefilterten Überwachungssystems auch das Sprachsystem störte und die automatische Umschaltung nicht sauber griff; ein Cyberangriff lag nach der Untersuchung nicht vor. Die IMDA verhängte nach dem Telecommunications Act eine Strafe von 1 Mio. SGD, weil der Vorfall für Singtel vermeidbar gewesen sei.

Behörde / Gericht

Infocomm Media Development Authority (IMDA)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Telecommunications Act

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

11.12.2025

Originalbetrag 1.000.000 SGD, umgerechnet zum EZB-Referenzkurs vom 11.12.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Nach einem im Dezember 2023 öffentlich gewordenen Cyberangriff auf das Reisebüro waren im Buchungssystem Daten von 336.759 Personen betroffen, teils mit vollständigen Bildern von Ausweisen, Pässen und Geburtsurkunden; ein Teil der Daten wurde ausgeleitet. Die Datenschutzbehörde PDPC stellte fahrlässige Verstöße gegen die Rechenschaftspflicht (Accountability Obligation) fest – Datenschutzbeauftragter erst im April 2024 benannt, außer der Datenschutzerklärung für Kunden keine internen Richtlinien, kein Beschwerdeverfahren und keine Information der Beschäftigten – sowie gegen die Schutzpflicht (Protection Obligation), weil Verträge mit den IT-Dienstleistern zu Sicherheitsaufgaben fehlten, keine Sicherheitsüberprüfungen stattfanden, keine Mehr-Faktor-Authentifizierung bestand und der Server noch mit dem nicht mehr unterstützten Windows Server 2012 lief. Sie verhängte 47.000 SGD, wies Einwände zu Corona-Verlusten und Vergleichsfällen zurück und ordnete u. a. Richtlinien, Sicherheitsklauseln in Dienstleisterverträgen und einen Penetrationstest durch einen von der Cyber Security Agency (CSA) lizenzierten Anbieter an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Sections 11(3) und 12 PDPA 2012 (Accountability Obligation); Section 24 PDPA (Protection Obligation); Section 48J(1)(a) PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

fahrlässig

Mildernde Umstände

Freiwilliges frühes Eingeständnis der Verstöße (als erheblich mildernd gewertet) sowie rasche und wirksame Abhilfe.

Veröffentlicht

08.01.2026

Originalbetrag 47.000 SGD, umgerechnet zum EZB-Referenzkurs vom 31.10.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Bei der manuellen Übertragung von API-Konfigurationen auf eine neue Middleware (September 2022 bis März 2023) ließ ein allein verantwortlicher Mitarbeiter eine App-Kennung aus, sodass die Token-Prüfung für die Webseite des Museumsprogramms ArtScience Friends mindestens sechs Monate nicht griff; ein Angreifer nutzte dies im Oktober 2023 und rief Daten von 665.495 Mitgliedern des Treueprogramms Sands Rewards Lifestyle ab, die anschließend im Darknet angeboten wurden. Die Datenschutzbehörde PDPC wertete es als fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation), dass sich das Resort ohne unabhängige Gegenprüfung oder Automatisierung auf diesen einen Mitarbeiter verließ. Die vorläufig vorgesehenen 450.000 SGD setzte sie nach der Stellungnahme des Unternehmens auf 315.000 SGD herab; Anordnungen ergingen wegen der bereits umgesetzten Abhilfe nicht.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 24 Personal Data Protection Act 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

fahrlässig

Wiederholungsfall

nein

Mildernde Umstände

Im Übrigen angemessene Sicherheitsvorkehrungen, Eindämmung noch am Tag der Entdeckung, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure), Kooperation und freiwillige Benachrichtigung aller Betroffenen.

Veröffentlicht

28.10.2025

Originalbetrag 315.000 SGD, umgerechnet zum EZB-Referenzkurs vom 28.10.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

ZGR Global (früher Zhongguo Remittance) und Hanshan Money Express, zwei benachbarte führende Anbieter von Yuan-Überweisungen im People's Park Complex, teilten sich mindestens von Januar 2016 bis Februar 2022 täglich, oft mehrmals, ihre aktuellen und teils nicht öffentlichen Überweisungskurse mit, mündlich am Schalter, auf Zetteln oder per Telefon. Die CCCS wertete das als Verstoß gegen s 34 Competition Act und verhängte am 31. Juli 2025 Geldbußen von zusammen 5.365.007 SGD (ZGR Global 2.793.700, Hanshan 2.571.307 SGD). Hanshan erhielt über den Kooperationsnachlass hinaus 10 % Nachlass für sein Eingeständnis im Fast-Track-Verfahren.

Behörde / Gericht

Competition and Consumer Commission of Singapore (CCCS)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Competition Act 2004, s 34

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Hanshan: Nachlass für die Kooperation und zusätzlich 10 % für das Eingeständnis im Fast-Track-Verfahren.

Veröffentlicht

31.07.2025

Originalbetrag 5.365.007 SGD, umgerechnet zum EZB-Referenzkurs vom 31.07.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Der Spediteur Ayzo Pte Ltd verwendete 2024 bei Anträgen auf Ausfuhrgenehmigungen für Zigarettensendungen nach Australien, die in den Frachtpapieren als andere Waren beschrieben waren, missbräuchlich die Unique Entity Numbers zweier anderer Firmen und bewahrte die Konnossemente nicht auf. Ayzo hatte sich allein auf Angaben eines unbekannten Auftraggebers aus Indien verlassen, ohne sie bei den genannten Im- und Exporteuren zu überprüfen. Nachdem sich das Unternehmen in zehn Anklagepunkten nach dem Customs Act wegen falscher UEN-Angaben und in drei Anklagepunkten wegen fehlender Aufbewahrung von Handelsdokumenten schuldig bekannt hatte, verhängten die State Courts am 30. Juli 2025 eine Geldstrafe von 36.000 SGD.

Behörde / Gericht

Singapore Customs; Verurteilung durch die State Courts

Rechtsgebiet

Sanktionen und Exportkontrolle · Zoll

Rechtsgrundlage

Customs Act (unrichtige Angabe der Unique Entity Number); drei weitere Anklagepunkte wegen fehlender Aufbewahrung von Handelsdokumenten (Vorschrift in der Mitteilung nicht genannt)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Veröffentlicht

19.08.2025

Originalbetrag 36.000 SGD, umgerechnet zum EZB-Referenzkurs vom 30.07.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Nach Prüfungen der Institute mit Verbindungen zu Personen im Fokus (POIs) des großen Geldwäschefalls vom August 2023 verhängte die MAS mutmaßlich Composition Penalties von zusammen 27,45 Mio. SGD, weil vorhandene AML/CFT-Richtlinien mangelhaft oder uneinheitlich umgesetzt wurden – bei der Kundenrisikobewertung, der Plausibilisierung der Vermögensherkunft (Source of Wealth), der Transaktionsüberwachung und der Nachbehandlung nach Verdachtsmeldungen. Aufschlüsselung: Credit Suisse Singapore Branch 5,8 Mio., United Overseas Bank 5,6 Mio., UBS AG Singapore Branch 3 Mio., UOB Kay Hian 2,85 Mio., Citibank N.A. Singapore und Citibank Singapore Limited zusammen 2,6 Mio., Bank Julius Baer & Co. Ltd. Singapore Branch 2,4 Mio., Blue Ocean Invest 2,4 Mio., Trident Trust Company (Singapore) 1,8 Mio. und LGT Bank (Singapore) 1 Mio. SGD. In die Strafe für Credit Suisse flossen zusätzlich Verstöße von November 2017 bis Oktober 2023 bei Konten bestimmter US-Kunden ein. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Monetary Authority of Singapore (MAS)

Rechtsgebiet

Geldwäsche und Terrorismusfinanzierung · Kundensorgfalt

Rechtsgrundlage

MAS Notices 626, 1014, SFA04-N02 und TCA-N03; s 27B(2) Monetary Authority of Singapore Act 1970 bzw. s 16(4) Financial Services and Markets Act 2022; Composition nach s 176(1A) MAS Act 1970 bzw. s 177(1) FSMA 2022

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

04.07.2025

Originalbetrag 27.450.000 SGD, umgerechnet zum EZB-Referenzkurs vom 04.07.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Der SaaS-Anbieter betreibt für lizenzierte Geldverleiher ein an das Kreditbüro für Geldverleiher angebundenes System, in das die Kunden Daten von Kreditantragstellern und Schuldnern eingeben; im Juni 2024 übernahm ein Angreifer über eine verwundbare Webanwendung das Systemadministratorkonto des SQL-Servers, das nur mit einem leicht zu erratenden Passwort geschützt war, löschte Datenbanken und leitete Daten von 190.589 Personen samt Kreditauskunftsdaten aus, die im Darknet angeboten wurden. Die Datenschutzbehörde PDPC stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest (unzureichende Zugriffskontrolle, keine Schwachstellen- oder Penetrationstests) und hielt wegen der Rolle als Anbieter, der ihm anvertraute Kundendaten verarbeitet, eine Geldbuße von 17.500 SGD für angemessen; den Antrag auf Erlass oder Minderung wies sie ab. Zusätzlich muss das Unternehmen für sein neues Netz binnen neun Monaten die Cyber-Trust-Mark-Zertifizierung der Cyber Security Agency of Singapore (CSA) erlangen.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24(a) PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß gegen den PDPA.

Veröffentlicht

03.07.2025

Originalbetrag 17.500 SGD, umgerechnet zum EZB-Referenzkurs vom 03.07.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Bei Prüfungen von fünf lizenzierten Zahlungsinstituten für grenzüberschreitende Überweisungen stellte die MAS Mängel bei der Kundenprüfung fest, etwa fehlende Wohnadressen, keine Nachfrage nach wirtschaftlich Berechtigten, kein Abgleich von Kunden mit Informationsquellen zu Geldwäscherisiken, ungeprüfte Vertretungsbefugnisse sowie fehlende Auftraggeber- oder Empfängerangaben bei Auslandsüberweisungen. Am 27. Juni 2025 verhängte sie mutmaßlich Composition Penalties von zusammen 960.000 SGD: Remsea 280.000, Arcade Plaza Traders 260.000, J-Dee Remittance Services 170.000, Mobile Community Tech 140.000 und OxPay SG 110.000 SGD. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Monetary Authority of Singapore (MAS)

Rechtsgebiet

Geldwäsche und Terrorismusfinanzierung · Kundensorgfalt

Rechtsgrundlage

MAS Notice PSN01; s 27B(2) Monetary Authority of Singapore Act bzw. s 16(4) Financial Services and Markets Act 2022; Composition nach s 176(1A) MAS Act 1970 bzw. s 177(1) FSMA 2022

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

27.06.2025

Originalbetrag 960.000 SGD, umgerechnet zum EZB-Referenzkurs vom 27.06.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Einen im Februar 2022 bereitgestellten Patch für eine bekannte Schwachstelle (CVE-2022-24086) der Magento-Plattform seines Onlineshops spielte der Juwelier erst im Januar 2023 ein; über die Lücke zog ein Angreifer die Kundendatenbank mit Daten von 41.379 Personen ab und stellte sie im Mai 2023 in ein Onlineforum. Die Datenschutzbehörde PDPC stellte einen fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation) fest, weil sich das Unternehmen beim Patchen ganz auf seinen Wartungsdienstleister verließ, ohne dies zu steuern oder zu überwachen, und verwarf den Einwand, der Dienstleister sei Auftragsverarbeiter (data intermediary) gewesen. Neben 58.000 SGD (vorläufig 64.000 SGD; der Vorwurf zu im Klartext gespeicherten Zugangsdaten entfiel nach der Stellungnahme) ordnete sie einen externen Sicherheitsaudit der Zugriffskontrollen mit Behebung der Lücken an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Mildernde Umstände

Rasche Abhilfe nach Bekanntwerden, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und Kooperation.

Veröffentlicht

08.01.2026

Originalbetrag 58.000 SGD, umgerechnet zum EZB-Referenzkurs vom 20.06.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die CCCS stellte fest, dass Hunan Fengtian Construction Group die Angebotsunterlagen und Preise von Trust-Build Engineering & Construction für drei Ausschreibungen der People's Association aus dem Jahr 2022 (Arbeiten an drei Community Clubs, Gesamtwert rund 56 Mio. SGD) vorbereitet hatte, sodass beide nicht unabhängig voneinander boten; die People's Association bemerkte die mögliche Absprache, meldete sie und schloss beide Bieter von der Bewertung aus. Nach section 34 Competition Act 2004 verhängte die CCCS Geldbußen von 4.295.059 SGD gegen Trust-Build und 349.350 SGD gegen Hunan Fengtian, zusammen 4.644.409 SGD.

Behörde / Gericht

Competition and Consumer Commission of Singapore (CCCS)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Section 34 Competition Act 2004; Geldbuße nach s 69(2)(e) Competition Act 2004

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Veröffentlicht

23.05.2025

Originalbetrag 4.644.409 SGD, umgerechnet zum EZB-Referenzkurs vom 23.05.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Eine an einem Verkehrsunfall neben der Wohnanlage beteiligte Person verlangte im April 2024 Zugang zu den Aufnahmen der Überwachungskameras; der Sicherheitsdienst konnte sie mangels Administratorzugang nicht sichern, das System überschrieb sie nach 17 Tagen, und die Eigentümergemeinschaft lehnte das Ersuchen danach unter Verweis auf Daten Dritter und das Wohnungseigentumsrecht ab. Die Datenschutzbehörde PDPC hielt eine pauschale Ablehnung für nicht gerechtfertigt (Dritte hätten unkenntlich gemacht werden können), traf zur Auskunftspflicht mangels noch vorhandener Aufnahmen aber keine Feststellung und stellte einen fahrlässigen Verstoß gegen die Rechenschaftspflicht (Accountability Obligation) fest: kein Datenschutzbeauftragter, keine eigene Datenschutzrichtlinie (nur die des Verwalters) und keine Vorgaben an Verwalter und Sicherheitsdienst zu Auskunftsersuchen. Sie ordnete an, binnen 60 Tagen Richtlinien und ein Verfahren für Auskunftsersuchen zu Videoaufnahmen einzuführen und an Verwalter und Auftragnehmer weiterzugeben.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Sections 11(3) und 12 PDPA 2012 (Accountability Obligation); geprüft auch Sections 21 und 22A PDPA (Auskunft, Aufbewahrung bei Ablehnung)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Verschulden

fahrlässig

Mildernde Umstände

Die Eigentümergemeinschaft benannte nach dem Vorfall einen Datenschutzbeauftragten.

Veröffentlicht

07.08.2025

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Der Anbieter von Kassen- und CRM-Software für kleine und mittlere Unternehmen meldete 2024 zwei Angriffe, bei denen Täter u. a. über SQL-Injection Dateien mit Daten von insgesamt 698.112 Personen abzogen, darunter Gesundheitsangaben (Hautbefunde und Behandlungen) von 9.122 Personen; die Daten wurden mutmaßlich in einem Hackerforum veröffentlicht. Die Datenschutzbehörde PDPC betonte, dass der SaaS-Anbieter große Datenmengen im Auftrag seiner Kunden vorhält, und stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest: öffentlich erreichbare Server, keine Netzwerk-Firewall, keine Sicherheitstests vor Releases, nicht mehr unterstützte Betriebssystem- und PHP-Versionen sowie ungeschützt in Quellcode- und Konfigurationsdateien hinterlegte Zugangsdaten. Neben 17.500 SGD ordnete sie ein Bündel von Maßnahmen an, von Netzsegmentierung und Patch-Management bis zu mindestens jährlichen Schwachstellen- und Penetrationstests.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24(a) PDPA 2012 (Protection Obligation)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß gegen den PDPA.

Veröffentlicht

08.01.2026

Originalbetrag 17.500 SGD, umgerechnet zum EZB-Referenzkurs vom 07.04.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Flex Connect (früher Facility Link) und Tarkus Interiors sprachen sich von August 2016 bis August 2021 bei zwölf Ausschreibungen für Innenausbauten von Läden, Gastronomiebetrieben und Büros im Gesamtwert von rund 34,11 Mio. SGD ab: Der vorgesehene Gewinner lieferte dem anderen Preise und Angaben, damit dieser ein höheres Scheinangebot abgab. Die CCCS verhängte am 20. Dezember 2024 Geldbußen von 5.113.918 SGD gegen Tarkus und 4.885.263 SGD gegen Flex Connect, zusammen 9.999.181 SGD (die CCCS selbst nennt als Summe 9.999.182 SGD); Flex Connect erhielt als Kronzeuge einen Nachlass.

Behörde / Gericht

Competition and Consumer Commission of Singapore (CCCS)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Competition Act 2004, s 34

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Mildernde Umstände

Kronzeugennachlass für Flex Connect.

Veröffentlicht

20.12.2024

Originalbetrag 9.999.181 SGD, umgerechnet zum EZB-Referenzkurs vom 20.12.2024.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Kundenberater von JPMorgan Chase Bank, N.A. legten bei 24 außerbörslichen Anleihegeschäften zwischen November 2018 und September 2019 Preisbestandteile falsch oder unvollständig offen, sodass Kunden höhere als die vereinbarten Spreads zahlten (Verstoß gegen s 201(c) und (d) SFA). Die Bank räumte ihre Haftung nach s 236C SFA ein, weil sie mangels angemessener Prozesse und Kontrollen das Fehlverhalten weder verhindert noch aufgedeckt hatte, zahlte der MAS mutmaßlich eine Civil Penalty von 2,4 Mio. SGD und erstattete den Kunden die zu viel berechneten Gebühren. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Monetary Authority of Singapore (MAS)

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Organisationspflichten

Rechtsgrundlage

ss 201(c), 201(d), 232 und 236C Securities and Futures Act (SFA)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Veröffentlicht

02.12.2024

Originalbetrag 2.400.000 SGD, umgerechnet zum EZB-Referenzkurs vom 02.12.2024.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Das Unternehmen versäumte bei einer Cloud-Migration 2020 und einer Umstrukturierung 2022, Daten von Beschäftigten, ehemaligen Beschäftigten, Direktoren und Aktionären auf einem gemeinsam genutzten Server der Tochter löschen zu lassen; im September 2022 verschaffte sich ein Angreifer über das kompromittierte Konto eines Dienstleisters der früheren Tochter Zugang zu diesem Server. Gefährdet waren zahlreiche Personen, bei einem Teil von ihnen könnten Daten – teils Ausweisbilder, Unterschriften, Bankkonten und Gehälter – abgeflossen sein. Die Datenschutzbehörde PDPC wertete die über zweijährige Nichtlöschung ohne klare Anweisungen an und Aufsicht über die Beschäftigten als fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation) und verhängte wegen Dauer, Art der Daten und zur Abschreckung 120.000 SGD; von der früheren Tochter nahm sie eine freiwillige Verpflichtungszusage an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Verschulden

fahrlässig

Mildernde Umstände

Rasches Handeln nach dem Hinweis auf den Vorfall, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und Kooperation.

Veröffentlicht

02.08.2024

Originalbetrag 120.000 SGD, umgerechnet zum EZB-Referenzkurs vom 14.05.2024.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 14.05.2026 · Direktlink

Über ein kompromittiertes Nutzerkonto verschaffte sich ein Angreifer zwischen Dezember 2022 und Januar 2023 per Remote Desktop Zugang zu Servern des Lohnabrechnungsdienstleisters und leitete Daten aus; auf einer Leak-Seite erschienen Daten von Beschäftigten eines Kunden, darunter Name, Ausweisnummer, Bankkonto und Gehalt. Die Datenschutzbehörde PDPC stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest, weil die sensiblen Daten auf ungesicherten internen Laufwerken lagen, Beschäftigte lokale Administratorrechte hatten und keine Mehr-Faktor-Authentifizierung bestand. Wegen der Rolle als Lohnabrechner und der Art der Daten hielt sie eine Geldbuße für angemessen und setzte 4.000 SGD fest.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß gegen den PDPA.

Veröffentlicht

22.04.2024

Originalbetrag 4.000 SGD, umgerechnet zum EZB-Referenzkurs vom 22.04.2024.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 22.04.2026 · Direktlink

Kundenberater der Singapurer Niederlassung machten Kunden bei 39 außerbörslichen Anleihegeschäften falsche oder unvollständige Angaben nach dem Handel, sodass diese höhere als die vereinbarten Spreads zahlten. Die MAS verhängte am 28. Dezember 2023 eine zivilrechtliche Geldstrafe von 3,9 Mio. SGD gegen die Bank, weil sie keine ausreichenden Kontrollen wie eine Nachhandelsüberwachung hatte, um das Fehlverhalten zu verhindern oder aufzudecken. Die Bank räumte ihre Haftung ein, zahlte sofort und entschädigte die betroffenen Kunden gesondert.

Behörde / Gericht

Monetary Authority of Singapore (MAS)

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Organisationspflichten

Rechtsgrundlage

Securities and Futures Act 2001, s 236C i. V. m. ss 201(c), 201(d); Civil Penalty nach s 232 SFA

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Mildernde Umstände

Haftung eingeräumt, Strafe sofort gezahlt, betroffene Kunden entschädigt und interne Kontrollen verstärkt.

Veröffentlicht

28.12.2023

Originalbetrag 3.900.000 SGD, umgerechnet zum EZB-Referenzkurs vom 28.12.2023.

Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 28.12.2025 · Direktlink

Beim Online-Marktplatz hängte ein Softwarefehler 2022 E-Mail-Adressen und Namen von Nutzern an Chatnachrichten an Anbieter an, und eine fehlerhafte Programmierschnittstelle ließ einen Angreifer nicht öffentliche Nutzerdaten abgreifen; eine Person bot danach Daten zahlreicher Nutzer des Marktplatzes in einem Onlineforum zum Kauf an. Die PDPC stellte am 28. Dezember 2023 eine fahrlässige Verletzung der Schutzpflicht fest, weil Tests vor der Einführung zu eng angelegt und Funktions- und Technikspezifikationen unzureichend dokumentiert waren. Sie verhängte 58.000 SGD und wies den Marktplatz an, Testverfahren und Dokumentation zu überprüfen und Lücken zu schließen.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Data Protection Act 2012, s 24 (Protection Obligation); Geldbuße nach s 48J PDPA ([2023] SGPDPC 13)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Verschulden

fahrlässig

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, rasche und wirksame Abhilfe, keine früheren Verstöße und frühes Eingeständnis im beschleunigten Verfahren; der Angreifer umging die vorhandenen Schutzmaßnahmen besonders geschickt.

Veröffentlicht

22.02.2024

Originalbetrag 58.000 SGD, umgerechnet zum EZB-Referenzkurs vom 28.12.2023.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 28.12.2025 · Direktlink

Beim Betreiber einer Online-Sprachlernplattform für Kinder erriet ein Angreifer im April 2022 per Brute-Force-Angriff das seit über zwei Jahren unveränderte, schwache Passwort eines Administratorkontos und griff auf Daten zahlreicher Nutzer weltweit zu, darunter Schülerinnen und Schüler sowie Gehalts- und Bankdaten von Lehrkräften. Die Datenschutzbehörde PDPC stellte fahrlässige Verstöße gegen die Schutzpflicht (Protection Obligation) wegen fehlender Passwortregeln und gegen die Rechenschaftspflicht (Accountability Obligation) fest, weil seit der Gründung 2016 kein Datenschutzbeauftragter benannt war. Sie verhängte 74.000 SGD und lehnte die beantragte Senkung auf höchstens 35.000 SGD ab; Anordnungen ergingen wegen der umgesetzten Abhilfe nicht.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 11(3) PDPA (Accountability Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

fahrlässig

Mildernde Umstände

Kein Nachweis einer Ausleitung oder eines Missbrauchs, rasche Abhilfe einschließlich Benachrichtigung der Nutzer, freiwilliges Eingeständnis und Kooperation.

Veröffentlicht

21.03.2024

Originalbetrag 74.000 SGD, umgerechnet zum EZB-Referenzkurs vom 24.10.2023.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 24.10.2025 · Direktlink

Im Juni 2022 stellte der Leasing- und Mietkaufanbieter fest, dass Ransomware sieben Server und sechs Arbeitsplatzrechner mit Daten zahlreicher Personen (Kunden, Bürgen und Beschäftigte) verschlüsselt hatte, darunter Ausweis-, Einkommens- und Bankdaten. Die PDPC stellte am 4. September 2023 einen Verstoß gegen die Schutzpflicht fest, weil ein seit zwei Jahren und neun Monaten verfügbarer Patch für die ausgenutzte Schwachstelle des VPN-Geräts nicht eingespielt war und Administratorkonten keine Mehr-Faktor-Authentifizierung hatten, und verhängte 82.000 SGD.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Data Protection Act 2012, s 24 (Protection Obligation); s 48J PDPA ([2023] SGPDPC 9)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Kooperation, zügige Abhilfe und freiwillige Übernahme der Verantwortung im beschleunigten Verfahren.

Veröffentlicht

10.11.2023

Originalbetrag 82.000 SGD, umgerechnet zum EZB-Referenzkurs vom 04.09.2023.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 04.09.2025 · Direktlink

Bei Prüfungen nach Bekanntwerden der Unregelmäßigkeiten in den Abschlüssen eines deutschen Zahlungsdienstleisters stellte die MAS bei vier Instituten unzureichende Geldwäschekontrollen im Umgang mit Personen fest, die mit dem Zahlungsdienstleister oder verbundenen Parteien Geschäfte machten oder Verbindungen hatten: falsch ermittelte oder nicht hinterfragte wirtschaftlich Berechtigte, nicht belegte Vermögensherkunft und nicht geprüfte ungewöhnlich große Transaktionen. Sie verhängte Composition Penalties von zusammen 3,8 Mio. SGD: Bank A 2,6 Mio., Bank B 600.000, Bank C 400.000 und der Versicherer 200.000 SGD; alle Institute akzeptierten. Vorsätzliches Fehlverhalten von Mitarbeitenden fand die MAS nicht.

Behörde / Gericht

Monetary Authority of Singapore (MAS)

Rechtsgebiet

Geldwäsche und Terrorismusfinanzierung · Kundensorgfalt

Rechtsgrundlage

MAS Notice 626 (Banken) und MAS Notice 314 (Lebensversicherer); s 27B(2) Monetary Authority of Singapore Act; Composition nach s 176(1A) MAS Act 1970

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Kein vorsätzliches Fehlverhalten von Mitarbeitenden; zügige Abhilfe durch verbesserte Verfahren und Schulungen zur Aufmerksamkeit der Beschäftigten.

Veröffentlicht

21.06.2023

Originalbetrag 3.800.000 SGD, umgerechnet zum EZB-Referenzkurs vom 21.06.2023.

Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 21.06.2025 · Direktlink

Der Gesundheitsdienstleister hatte Callcenter- und Terminbuchungsdienste an ein Sozialunternehmen ausgelagert, das für seine Callcenter-Kräfte Kundendaten auf einen aus dem Internet erreichbaren Dateiserver kopierte, dessen Passwortschutz rund 20 Monate lang deaktiviert war; 2021 wurden Daten zahlreicher Kunden (u. a. Diagnosecodes und Bankdaten) unbefugt abgerufen und im Darknet angeboten. Die Datenschutzbehörde PDPC stellte beim Auftragsverarbeiter (data intermediary), dem Sozialunternehmen, Mängel bei Sicherheitsüberprüfungen und Passwortverwaltung fest und beim Gesundheitsdienstleister unzureichende laufende Aufsicht über den Dienstleister sowie die unnötige Weitergabe sensibler Finanz- und Gesundheitsdaten. Sie verhängte gegen beide zusammen 68.000 SGD und ordnete bei beiden Überprüfungen von Verträgen, Datenweitergabe und Prüfumfang an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation) i. V. m. Sections 4(2) und 4(3) PDPA (Data Intermediary); Section 48J PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Mildernde Umstände

Beide kooperierten, räumten die Verstöße im beschleunigten Verfahren (Expedited Decision Procedure) ein und leiteten rasch Abhilfe ein; bei der Bemessung wurde der rund 50-fach höhere Umsatz des Gesundheitsdienstleisters berücksichtigt.

Veröffentlicht

22.06.2023

Originalbetrag 68.000 SGD, umgerechnet zum EZB-Referenzkurs vom 23.03.2023.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 23.03.2025 · Direktlink

Vier Lagerbetreiber in einem Singapurer Logistikzentrum stimmten sich 2017 über die Einführung eines gleich benannten „FTZ Surcharge“ von 6 SGD je Frachteinheit auf Importware ab, statt ihre Preise unabhängig festzulegen. Die CCCS verhängte am 17. November 2022 Geldbußen von zusammen 2.799.138 SGD: Betreiber A 1.436.378, Betreiber B 542.520, Betreiber C 522.889 und Betreiber D 297.351 SGD, letzterer nach Kronzeugennachlass. Das Competition Appeal Board gab der Berufung der Betreiber C und A am 16. Juli 2025 statt; der High Court stellte am 30. Juni 2026 auf Rechtsmittel der Behörde die Zuwiderhandlung der beiden wieder her, ob deren Geldbußen wieder in voller Höhe gelten, teilt die Behörde nicht mit.

Behörde / Gericht

Competition and Consumer Commission of Singapore (CCCS)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Competition Act 2004, s 34

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Mildernde Umstände

Kronzeugennachlass für Betreiber D, der bei den Durchsuchungen einen Antrag stellte.

Veröffentlicht

17.11.2022

Originalbetrag 2.799.138 SGD, umgerechnet zum EZB-Referenzkurs vom 17.11.2022.

Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 17.11.2024 · Direktlink

Ein Angreifer übernahm 2020 das Konto eines Beschäftigten der Online-Lebensmittelplattform bei einem Code-Hosting-Dienst fand im Quellcode einen hoch privilegierten Zugangsschlüssel, in der Cloud einen weiteren und gelangte so an eine Datenbank mit Daten zahlreicher Kunden und Verkäufer, die danach in einem Onlineforum zum Kauf angeboten wurde. Die PDPC stellte am 28. Oktober 2022 einen Verstoß gegen die Schutzpflicht fest, weil die Schlüssel offenkundig unzureichend gesichert waren und die Datenbank keine eigene Authentifizierung hatte, und verhängte 72.000 SGD; Einwände gegen die Höhe wies sie zurück.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Data Protection Act 2012, s 24 (Protection Obligation); s 48J PDPA ([2022] SGPDPC 8)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, teilweise Schwärzung gespeicherter Kreditkartennummern, rasche wirksame Abhilfe und die späte, aber freiwillige Anerkennung der Feststellungen.

Veröffentlicht

19.12.2022

Originalbetrag 72.000 SGD, umgerechnet zum EZB-Referenzkurs vom 28.10.2022.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 28.10.2024 · Direktlink

Nachdem zwei Auftragnehmer der ausländischen Konzernmutter des Plattformbetreibers 2020 Kundendaten aus deren Systemen abgezogen hatten – betroffen waren Daten zahlreicher Personen, darunter Kunden des Onlinehändlers –, prüfte die Datenschutzbehörde PDPC die Übermittlungen aus Singapur ins Ausland. Der Onlinehändler als Verantwortlicher hatte keine vertraglichen Zusagen eingeholt, die ein dem PDPA vergleichbares Schutzniveau für die über seinen Auftragsverarbeiter (data intermediary) übermittelten Daten sichern, und der singapurischen Plattformgesellschaft fehlten für die Weitergabe eigener Plattformdaten an die ausländische Konzernmutter innerhalb des Konzerns verbindliche Verträge oder Binding Corporate Rules. Die PDPC ordnete beiden an, Verfahren zur Einhaltung der Transfer Limitation Obligation einzuführen – der Plattformgesellschaft binnen 60 Tagen, dem Onlinehändler als KMU binnen sechs Monaten – und verwies auf die ASEAN-Modellvertragsklauseln.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Section 26(1) PDPA 2012 (Transfer Limitation Obligation) i. V. m. Regulations 9(1)(b) und 10(1) Personal Data Protection Regulations 2014; Section 4(3) PDPA; Section 48I PDPA (Directions)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Mildernde Umstände

Beide Unternehmen kooperierten nach Feststellung der PDPC in hohem Maße.

Veröffentlicht

18.11.2022

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 06.10.2024 · Direktlink